ボットに防御を突破されていませんか？対策すべき3つのトレンド

F5エコシステム | 2025年5月07日

アプリケーションとAPIがビジネスの生命線となっている今日のデジタル環境には、高度なボット攻撃者という目に見えない脅威が潜んでいます。従来のセキュリティ対策が悪意のある攻撃の防止に重点を置く一方、自動化された脅威は、人間の行動を模倣し、想定外の方法でアプリケーションロジックの隙を突くことで、検知されずにすり抜けています。

F5 Labsが先ごろ公開した「2025年高度な持続型ボットに関するレポート」では、高度な持続型ボットの進化する手口と、それがもたらす課題を明らかにしています。ぜひレポート全文をご覧いただきたいところですが、ここでは今年の調査で特に注目した3つのトレンドと、企業が自社を保護するために講じられる対策をご紹介します。

1. クレデンシャルスタッフィング：盗まれたパスワードによって重要なデータが漏えいする場合

サイバー犯罪者が、容易に入手できる窃取された認証情報を使って、機密性の高いユーザーアカウントにアクセスする状況を想像してみてください。これが、パスワードの使い回しが広く行われている実態を悪用する、ボット主導の代表的な攻撃であるクレデンシャルスタッフィングです。F5 Labsによると、組織によっては、ログイントラフィックの80%以上がボットによるクレデンシャルスタッフィング攻撃で占められることがあります。このレポートでは、攻撃キャンペーンごとの成功率が1%～3%と低くても、自動ログインの膨大な試行回数により、侵害されるアカウントが相当数に上ると指摘しています。

“従来のセキュリティ対策が悪意のある攻撃の防止に重点を置く一方、自動化された脅威は、人間の行動を模倣し、想定外の方法でアプリケーションロジックの隙を突くことで、検知をすり抜けています。”

2022年に発生したPayPalの情報漏えいのようなインシデントでは、収益化しやすい個人情報を窃取するために、約35,000件のユーザーアカウントが不正にアクセスされました。こうしたインシデントにより、他のオンラインサービスで悪用できるユーザー名とパスワードの大規模なデータベースが生み出されます。多くの人がパスワードを使い回しているため、成功率が低くても大きな成果につながる可能性があります。これらの情報は、不正取引やデータ窃取に利用されるほか、標的型攻撃に使用する目的でダークウェブ上で販売されることもあります。

近年、複数の著名ブランドがクレデンシャルスタッフィング攻撃を報告しています。遺伝子検査企業23andMeの経営悪化は、その一因として、顧客の健康情報や祖先情報を流出させたクレデンシャルスタッフィング攻撃が挙げられています。流出したデータはダークウェブで販売されており、価格は100件のプロフィールで1,000ドル、100,000件では最大100,000ドルでした。

同社は、顧客がサイトの多要素認証（MFA）オプションを利用していなかったことを主な原因として挙げました。しかし実際には、従来のセキュリティ対策を回避できる点に、クレデンシャルスタッフィングの巧妙さがあります。ボットは正規の認証情報を使用し、脆弱性を悪用しようとするものではないため、一般的なアラートは作動しません。MFAは対策に役立ちますが、リアルタイムフィッシングプロキシ（RTPP）が増加しているため、万全ではありません。組織は、ログインパターン、デバイスフィンガープリント、行動上の異常を分析し、実際に何が起きているかを把握できる高度なボット検知ソリューションを導入する必要があります。

2. 攻撃にさらされるホスピタリティ業界：ギフトカードボットと「カーディング」の台頭

金融業界や小売業界はサイバー攻撃の主な標的と見なされることが多い一方、F5 Labsの調査では、ホスピタリティ業界も悪意のあるボット活動の標的にされるケースが多いことが明らかになりました。特に、「カーディング」やギフトカードボットがホスピタリティ関連のWebサイトやAPIを標的としており、一部の組織では悪意のあるボット活動が前年比で300%急増しています。また、ボットが標的とするギフトカードの平均額も増加していると報告されています。

カーディングでは、盗まれたクレジットカード番号をチェックアウトページやAPIで短時間に繰り返し試し、有効かどうかを確認するためにボットが使用されます。ギフトカードボットは、ロイヤルティプログラムやギフトカードシステムを悪用します。攻撃者はこれらのボットを使い、残高の確認、ポイントの移行、特典の不正利用を行います。こうしたボットは、単純なパターンや連番のギフトカードIDなどの脆弱性を狙うことがよくあります。

ホスピタリティ業界が攻撃を受けやすいのは、ロイヤルティポイントやギフトカードが実質的にデジタル通貨として機能するためです。サイバー犯罪者は、これらの資産を容易に現金化したり、商品やサービスの購入に利用したりできます。

こうした脅威から自社を守るため、ホスピタリティ企業は、脅威に特化した堅牢なボット検知・緩和戦略を導入する必要があります。具体的には、ギフトカードの利用状況の監視、取引パターンの分析、人間とボットを識別できるソリューションの導入などが挙げられます。かつてボットをブロックする定番の手段だったCAPTCHAは、次に説明するように、何年も前からボット運用者に容易に回避されています。

3. 門番をすり抜ける：住宅用プロキシとCAPTCHAの限界

CAPTCHAやIPブロッキングといった従来のボット対策では、高度化する回避手法に対抗できなくなっています。ボット運用者は、少額の報酬で必要に応じて認証課題を解く人間のクリックファームに、CAPTCHAの解決を容易に外注できます。

さらに、住宅用プロキシネットワークの台頭も大きな要因です。これらのネットワークは、侵害されたデバイスを介してボットトラフィックを住宅用IPアドレス経由でルーティングし、ボットの実際のIPアドレスを隠します。F5 Labsのレポートによると、住宅用プロキシは現在、ボット運用者に広く利用されており、ボットトラフィックの大半がこれらのネットワークから発信されているように見えます。

アイデンティティ管理ベンダーのOktaは、昨年同社のユーザーを狙ったクレデンシャルスタッフィング攻撃が急増した要因として、住宅用プロキシサービスが広く利用可能になっていることを挙げました。同社によると、数百万件もの偽リクエストが住宅用プロキシを経由しており、仮想プライベートサーバー（VPS）プロバイダーのIPアドレス空間ではなく、一般ユーザーのモバイルデバイスやブラウザーから送信されたように見せかけていました。

こうした高度な回避手法に効果的に対抗するには、従来型の防御から脱却し、インテリジェントなボット対策ソリューションを導入する必要があります。これらのソリューションは、機械学習と行動分析を活用し、ボット固有の特徴に基づいて識別します。IPアドレスやCAPTCHAに依存するのではなく、人間らしい行動に着目することで、高度なボット攻撃をより正確に検知し、ブロックできます。